[發(fā)明專利]針對計算機系統(tǒng)的行為異常自動檢測方法及檢測系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201410443322.3
• 申請日: 2014-09-02
• 公開（公告）號: CN104317681B
• 公開（公告）日: 2017-09-08
• 發(fā)明（設(shè)計）人: 曹健;沈琪駿;顧驊
• 申請（專利權(quán)）人: 上海交通大學(xué)
• 主分類號: G06F11/22
• 分類號: G06F11/22
• 代理公司: 上海漢聲知識產(chǎn)權(quán)代理有限公司31236
• 代理人: 胡晶

1.一種針對計算機系統(tǒng)的行為異常自動檢測方法，其特征在于，包括以下步驟：

S1:將從所述計算機系統(tǒng)的監(jiān)控系統(tǒng)或后臺數(shù)據(jù)庫中獲得的歷史監(jiān)控數(shù)據(jù)和實時監(jiān)控數(shù)據(jù)流構(gòu)成監(jiān)控時間序列；

S2:將監(jiān)控時間序列按照所述計算機系統(tǒng)的使用率的變化周期分段為若干數(shù)據(jù)段，按照所有數(shù)據(jù)段當(dāng)中的最大采樣點數(shù)對所有數(shù)據(jù)段進(jìn)行重采樣；對所述若干采樣后的數(shù)據(jù)段分段去噪得到平滑時間序列段，計算采樣前數(shù)據(jù)段的標(biāo)準(zhǔn)差和平均值，遍歷每個采樣點，采樣點和所述平均值的歐幾里得距離小于預(yù)定倍數(shù)標(biāo)準(zhǔn)差則偏差值設(shè)為0，否則偏差值設(shè)為絕對偏差距離，由每段時間序列段采樣點的偏差值構(gòu)成若干尖峰時間序列段；將尖峰時間序列段和去噪后的平滑時間序列段相加構(gòu)成新的監(jiān)控時間序列段；

S3:將新的監(jiān)控時間序列段動態(tài)對齊，并計算每段時間段中的所述計算機系統(tǒng)的機器行為相似性指數(shù)；

S4:將S3中得到的相似性指數(shù)構(gòu)成一個相似性矩陣，通過相似性矩陣轉(zhuǎn)化為一個圖對應(yīng)的鄰接矩陣，使得圖中，相似性指數(shù)作為邊權(quán)，時間段本身作為節(jié)點；

S5:利用馬爾科夫隨機游走算法在S3中得到的圖上進(jìn)行游走得到各新的監(jiān)控時間序列段的連接度，作為每個被檢測時間段的異常指數(shù)。

2.如權(quán)利要求1所述的一種針對計算機系統(tǒng)的行為異常自動檢測方法，其特征在于，原始時間序列中包括常規(guī)序列段和非常規(guī)序列段，所述常規(guī)序列段的時間戳之間的間隔時間一致，所述非常規(guī)序列段的時間戳之間的間隔時間不一致，按照所有分段當(dāng)中最長采樣個數(shù)對所有數(shù)據(jù)段進(jìn)行線性重采樣，使得監(jiān)控時間序列獲得相同的采樣間隔和采樣次數(shù)。

3.如權(quán)利要求1所述的一種針對計算機系統(tǒng)的行為異常自動檢測方法，其特征在于，S3中進(jìn)一步包括，根據(jù)實際負(fù)載情況進(jìn)行預(yù)定范圍以內(nèi)的新的時間序列段對齊，同時用歐幾里得距離函數(shù)計算對齊后的新的時間序列段的相似度。

4.如權(quán)利要求1或3所述的一種針對計算機系統(tǒng)的行為異常自動檢測算法，其特征在于，對于任意的兩個監(jiān)控時間序列Fi和Fj組成的監(jiān)控時間序列對，用以下的方程來獲得Fi和Fj的相似性指數(shù)：

dist_up＝f[ii-1][jj-k]+Euclidean(Fi[ii],Fj[jj-k+1])+…+Euclidean(Fi[ii],Fj[jj-k])，

dist_down＝f[ii-k][jj-1]+Euclidean(Fj[ii],Fi[jj-k+1])+…+Euclidean(Fj[ii],Fi[jj-k])，

f[ii,jj]＝min(dist_up,dist_down,f[ii][jj])，

similarity＝f[L,L]，

其中，L為監(jiān)控時間序列段長度；Euclidean為歐幾里得距離函數(shù)；Fi為第i段監(jiān)控時間序列，i＝1,2…m；Fj為第j段監(jiān)控時間序列，j＝1,2…m；m為監(jiān)控的時間序列總的段數(shù)；Similarity為第i段監(jiān)控時間序列與第j段監(jiān)控時間序列的相似性指數(shù)；ii,jj,k為循環(huán)變量，其中ii為監(jiān)控時間序列Fi中的任一采樣點，jj為監(jiān)控時間序列Fj中的一任意采樣點，k為移動步數(shù)，ii＝0,1…L；jj＝0,1…L；k＝0,1…n,n為預(yù)設(shè)的最大對齊步數(shù)，f[ii][jj]為計算需要的中間結(jié)果。

5.如權(quán)利要求1所述的一種針對計算機系統(tǒng)的行為異常自動檢測方法，其特征在于，還包括S6：設(shè)定判斷閾值Threshold，連接度小于閾值Threshold的時間段標(biāo)記為行為異常，連接度大于閾值Threshold的時間段標(biāo)記為行為正常。